"Hai visitato un sito che non dovevi visitare": la nuova truffa arriva via mail

iStock

• Circola una truffa via mail che si spaccia per comunicazione del Ministero o di un tribunale chiedendo di aprire un allegato su Google Drive.
• La messaggio sfrutta stemmi, termini burocratici e l'urgenza di 48 ore per isolare la vittima e spingerla a fornire dati o scaricare malware.
• Se si è esposto il dispositivo serve scansione antivirus, cambio password, 2FA e la segnalazione al Commissariato di PS online della Polizia Postale.

Arriva nella nostra casella di posta con l’intestazione della Repubblica Italiana, un numero di protocollo dall’aspetto decisamente… burocratico e un’accusa che mette immediatamente a disagio: hai visitato un sito “proibito”.

Per chi vive un’intensa vita digitale, basta poco per insinuare il dubbio e far proseguire la lettura, ed ecco: in calce c’è un termine di 48 ore per “mettersi in regola”. La mail circola in queste settimane tra gli utenti italiani e si presenta come una notifica ufficiale del Ministero dell’Interno, ma sì: ovviamente è una truffa.

a

• Come si presenta la truffa?
• Dov'è la trappola?
• La leva dell'urgenza
• Come capire che è una truffa?
• Cosa fare se si riceve questa mail?

Come si presenta la truffa?

Il messaggio si apre con l’oggetto “MINISTERO DELL’INTERNO – DIREZIONE CENTRALE PER I SERVIZI TERRITORIALI” e il mittente, sulla carta, sarebbe il Tribunale Ordinario di Roma. Nel corpo del testo compare lo stemma della Repubblica, seguito dalle diciture “Ministero dell’Interno” e “Dipartimento per la sicurezza informatica”.

Il destinatario viene indicato in modo generico come “Intestatario della connessione / Cittadino“, senza nome né cognome: un primo dettaglio che dovrebbe già insospettirci, nonostante l’aspetto possa essere (apparentemente) affidabile.

L’accusa fa riferimento a una violazione delle norme sull’uso della rete Internet, collegata all’indirizzo IP di chi legge e formulata ai sensi di una fantomatica Legge 231/2025, articolo 44-bis. Il richiamo gioca sull’assonanza con il ben più noto Decreto legislativo 231 del 2001 sulla responsabilità amministrativa degli enti, che riguarda tutt’altro ambito.

Segue la parte operativa: per prendere visione del rapporto completo, con data, ora e natura dell’infrazione, occorre aprire un allegato in PDF chiamato “Notifica_Violazione_231_2025.pdf”. Il file viene presentato come “firmato digitalmente”.

Dov’è la trappola?

Come in tutti i casi di truffe digitali (che siano via mail o via SMS) la trappola si trova nel link, che in questo specifico caso porta a un file caricato su Google Drive. Lo abbiamo isolato senza aprirlo, perché il contenuto di una campagna di questo tipo va maneggiato in ambiente protetto e mai dalla postazione di lavoro quotidiana.

La scelta di Drive spiega parecchio del meccanismo: il dominio google.com gode di ottima reputazione presso i filtri antispam e supera i controlli automatici che bloccherebbero un dominio sconosciuto e in più chi posa l’occhio sull’URL vede un indirizzo familiare e abbassa la guardia.

Di fatto, però, un vero provvedimento del Ministero dell’Interno o di un tribunale segue una strada diversa: viaggia via PEC, riporta una firma digitale verificabile e un protocollo che l’ufficio è in grado di confermare e no, un account Drive personale non rientra in questa catena.

Cosa potrebbe esserci dietro?

Anche se non lo abbiamo aperto, possiamo intuire cosa si potrebbe trovare all’interno della cartella condivisa. Si configurano due opzioni: nella prima potremmo avere un PDF che riproduce carta intestata e stemma e contiene al suo interno un secondo collegamento, quello che conta, verso una pagina che chiede dati anagrafici, documento d’identità, credenziali SPID oppure gli estremi di una carta per il pagamento di una sanzione inesistente.

Nella seconda, il file è un archivio o un eseguibile mascherato che installa sul dispositivo un infostealer, un programma che raccoglie password salvate nel browser, cookie di sessione e portafogli digitali. Il documento serve sempre a spostare la vittima su un passaggio successivo.

La leva dell’urgenza

Logicamente, perfettamente in linea con questo tipo di trappole, si gioca molto sull’urgenza: il testo fissa un termine di 48 ore in un riquadro evidenziato e ripete l’invito ad aprire l’allegato immediatamente. La compressione del tempo serve a impedire la verifica: chi teme un procedimento penale a proprio carico tende ad agire prima di ragionare.

Ma non solo: il passaggio più rivelatore arriva subito dopo, sotto la voce “regola comunicativa vincolante”. La mail impone di rispondere esclusivamente con la funzione reply e dichiara che non saranno accettati altri contatti né telefonici, né raccomandate, né PEC esterne o visite presso uffici pubblici.

Ricordiamo che nessuna amministrazione pubblica può vietare a un cittadino di presentarsi allo sportello o di inviare una raccomandata. Quella clausola esiste per una ragione sola: isolare il destinatario da qualsiasi canale che smaschererebbe la truffa in pochi minuti. È il segnale che dovrebbe far chiudere la mail e aprire la segnalazione.

Come capire che è una truffa?

Di fatto, l’indirizzo della mail è il primo indizio: il presunto Tribunale Ordinario di Roma scrive da un dominio @sch.gr, che appartiene alla rete scolastica greca, quasi certamente da una casella compromessa. Gli uffici giudiziari italiani utilizzano domini istituzionali come giustizia.it, gli enti dello Stato scrivono da gov.it e le comunicazioni con valore legale passano dalla posta certificata.

Le identità, poi si accavallano in modo incompatibile con una comunicazione reale: l’oggetto cita la Direzione Centrale per i Servizi Territoriali, il mittente si presenta come Tribunale di Roma, il corpo del messaggio parla di un Dipartimento per la sicurezza informatica del Viminale. Tre enti diversi per una singola notifica.

Anche le firme sono rivelatorie: in apertura compare il Dott. Alessandro Verdi, indicato come Responsabile Nazionale Conformità Cyber, in chiusura il Dott. Marco De Santis con la qualifica di Responsabile Nazionale. Due persone, due nomi inventati (basta googlare) e due ruoli che nell’organigramma del Ministero dell’Interno non esistono, dato che la competenza sui reati informatici appartiene alla Polizia Postale e al CNAIPIC.

Infine, occhio alla scrittura: ci sono frasi a metà e formule burocratiche che vengono impilate senza costrutto. Un provvedimento autentico non si presenta con questi refusi. L’accusa stessa, sul piano della lingua, è priva di senso: la formula “hai visitato un sito web che non dovevi” è incompleta, abbozzata.

Cosa fare se si riceve questa mail?

La regola vale per l’intera “famiglia” di queste truffe: nessun clic sul link, nessuna apertura dell’allegato, nessuna risposta al mittente. Anche una replica interlocutoria conferma che la casella è attiva e presidiata da una persona reale, informazione che vale parecchio nel mercato degli indirizzi.

Chi ha già aperto l’allegato deve muoversi in fretta: serve una scansione completa del dispositivo con un antivirus aggiornato, il cambio delle password degli account principali a partire da mail e home banking, l’attivazione dell’autenticazione a due fattori e un controllo degli accessi recenti nella sezione sicurezza del proprio account Google. Se sono stati inseriti dati di pagamento, il passaggio successivo è il blocco immediato della carta.

La segnalazione può essere formalizzata sul portale del Commissariato di PS online della Polizia Postale, che raccoglie anche le denunce per truffe telematiche. Un ultimo gesto utile riguarda le persone attorno: campagne come questa colpiscono a ondate e chi vive da solo o ha poca dimestichezza con la posta elettronica resta il bersaglio più esposto.